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@ Verfahren zur Datenubertragung 

(§) Es wird ein Verfahren zur Datenubertragung vorge- 
schlagen, bei dem erste Daten an eine erste Rechenein- 
heit ubermittelt werden, anschlieftend auf die ersten Da- . 
ten bezogene zweite Daten an eine zweite Recheneinheit 
ubermittelt werden und ein Prufergebnis an die erste Re- 
cheneinheit zuruck ubermittelt wird. Hierdurch ist eine 
unabhangige Prufung von an eine erste Recheneinheit 
ubermittelten Daten durch eine zweite Recheneinheit 
moglich, so dass eine mifcbrauchliche oder verbotene Be- 
nutzung von ersten Daten in der ersten Recheneinheit 
verhindert werden kann. 
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Beschreibung 

Stand der Technik 

[0001] Die Erfindung geht aus von einem Verfahxen zur 5 
Datenubertragung nach der Gattung des Hauptanspruchs. Es 
ist schon ein Verfahren zur Datenubertragung aus der 
DE 44 42 357 Al bekannt, bei der Daten zwischen einer 
Datenverarbeitungseinrichtung und einem Endgerat ubertra- 
gen werden. Vor der Aufhahme der Ubertragung von Daten 10 
erfolgl eine gegenseitige Authenlifikation unler Verwen- 
dung von in jeweils einem Sicherheitsmodul der Datenver- 
arbeitungseinrichtung und des Endgerates gcspeichertcn 
Codes. Femer wird ein Code ubermittelt, aus dem es ersicht- 
Jich ist, ob die Datensatze wahrend der Ubertragung veran- 15 
dert wurden. Die Sicherheit der tJbertragung ist damit an die 
Verwendung der Sicherheitsmodule gebunden. 

Vorteile der Erfindung 

20 

[0002] Das erfindungsgemaBe Verfahren mit den Merk- 
malen des Hauptanspruchs hat demgegenuber den Vorteil, 
dass Daten, die an eine erste Recheneinheit ubermittelt wer- 
den, zusatzlich dadurch gepriift werden, dass auf die ersten 
Daten bezogene zweite Daten an eine zweite Recheneinheit 25 
ubermittelt werden und mittels einer Uberpriifung der zwei- 
tcn Daten eine Korrcktheit der ersten Daten ubcrpriift wird. 
Wahrend gemaB dem zitierten Stand der Technik die Sicher- 
heit einer Datenubertragung lediglich durch das dem Endge- 
rat zugeordnete Sicherheitsmodul gewahrieistet wird, ist mit 30 
dem erfindungsgemaBen Verfahren cine zusatzlichc Uber- 
priifung durch cine unabhangige, zweite Recheneinheit 
moglich. Insbesondere kann hierdurch ein unberechtigtes 
tfbertragen von ersten Daten auf die erste Recheneinheit 
durch die zweite Recheneinheit auch dann ermitteit werden, 35 
wenn z. B. die ersten Daten aus einer nicht auiorisicrtcn 
Quelle stammen, z. B. von einer nicht autorisierten Kopie 
eines Datentragers, oder wenn z. B. erste Daten von einer 
dritten Recheneinheit durch einen Unberechtigten iibertra- 
gen werden. Die Datensicherheit ist nicht mehr an ein Si- 40 
cherheitsmodul gebunden, das auch entwendet werden 
kann, sondem wird von der zusatziichen zweiten Rechen- 
einheit gewahrieistet. 

[0003] Durch die in den Unteranspruchen aufgefuhrten 
Mafinahmen sind vorteilhaftc Wciterbildungen und Verbes- 45 
serungen des im Hauptanspruch angegebenen Verfahrens 
moglich. Besonders vorteilhaft ist, dass in der ersten Re- 
cheneinheit und/oder in der zweiten Recheneinheit jeweils 
eine fehlerfreie Ubermittlung der Daten gepriift wird, da 
hierdurch neben einem EingrirT in die Datenubermittlung 50 
auch Ubertragungsfehler erfasst werden konnen und eine 
tJbermittlung nach Feststellung eines derartigen Obertra- 
gungsfehlers wiederholt werden kann. 
[0004] Weiterhin ist vorteilhaft, dass die ersten Daten von 
einem Datcntragcrlaufwerk oder von einer dritten Rechcn- 55 
einheit an die erste Recheneinheit ubermittelt werden und 
dass durch die zweite Recheneinheit die Identital der dritten 
Recheneinheit beziehungsweise des Datentragers gepriift 
wird, da hierdurch unberechtigte Kopicn eines Datentragers 
oder die Ubermittlung von einer zur Datenubertragung nicht 60 
berechtigten dritten Recheneinheit erfasst werden kann. 
[0005] Weiterhin ist vorteilhaft, die Daten verschliisselt zu 
ubertragen, insbesondere verschliisselt mit einem privaten 
Schliissel der jcweiligen ubcrtragenden Recheneinheit und 
mit einem zu ubermittelnden, oftentlichen Schliissel der je- 65 
weiligen, empfangenden Recheneinheit, da hierdurch neben 
einem sicheren Datentransport auch direkt eine sichere 
Identifizierung der jeweils sendenden Recheneinheit mog- 




lich ist. Mit einer elektronischen Unterschrift, also durch 
eine eindeutige, falschungssichere eleklronische Kenn- 
zeichnung des Absenders in Datenform kann eine Identifi- 
zierung ermoglicht werden. 

[0006] Weiterhin ist eine Funkiibertragung vorteilhaft, da 
hierdurch ein AnschiuB an ein feststehendes Kommunikati- 
onsnetz vermeidbar ist und somit eine mobile Anwendung 
des Verfahrens moglich isL 

[0007] Weiterhin ist vorteilhaft, dass von der zweiten Re- 
cheneinheit fur eine Priifung der zweiten Daten auf eine Da- 
tenbank zuruckgegriffen wird, in der z. B. alle zur tJberlra- 
gung berechtigten dritten Recheneinheiten, alle berechtigten 
Datentrager und/oder alle zur Spcicherung der jewciligen 
ersten Daten berechtigten ersten Recheneinheiten abgelegt 
sind, so dass eine umfassende Uberpriifung moglich wird. 
[0008] Weiterhin ist vorteilhaft, dass von der zweiten Re- 
cheneinheit in Abhangigkeit von den zweiten Daten ein 
Zahlungsvorgang veranlasst wird, so dass eine Bercchnung 
der ubertragenen ersten Daten durch die zweite Rechenein- 
heit moglich ist. Hierdurch kann sichergestellt werden, dass 
ein Benutzer, der ein Programm in Form von ersten Daten 
mit der ersten Recheneinheit benutzt, erst bei der tatsachli- 
chen Ubertragung dieser Daten auf die erste, Recheneinheit 
eine Gebiibr bezahlt. Hierdurch kann sichergestellt werden, 
dass ein Benutzer Daten erst dann bezahlen muss, wenn er 
sie tatsachlich verwendet, und nicht bereits wahrend er le- 
diglich die Kontrolle iibcr die jcweiligen Daten hat, z. B. 
durch Besitz eines Datentragers mit diesen Daten. Auch ist 
es moglich, auf diese Weise mittels der zweiten Rechenein- 
heit Zahlungsvorgange zu autorisieren, d. h. Zahlungsvor- 
gange z. B. in der Form von Kreditkartenzahlungen oder 
Kaufauftragen fur Warcn oder Dicnstleistungen, dercn Da- 
tensatze an die erste Recheneinheit ubermittelt wurden. 
[0009] Weiterhin ist vorteilhaft, dass eine Benutzung der 
ersten Daten durch die zweite Recheneinheit erlaubt wird, 
so dass erst nach Ubermittlung dicscr Erlaubnis an die erste 
Recheneinheit, also nach Freigabe der Daten durch die 
zweite Recheneinheit, die ersten Daten in der Recheneinheit 
verwendet konnen, so dass die Verwendung von unberech- 
tigten Kopien der ersten Daten oder von falschen ersten Da- 
ten in der ersten Recheneinheit vermieden wird. 
[0010] Weiterhin ist vorteilhaft, dass von der zweiten Re- 
cheneinheit eine Nutzung der ersten Daten durch die erste 
Recheneinheit gespeichert wird, so dass ein Nutzerprofil fur 
die ersten Daten an hand der von der zweiten Recheneinheit. 
gespeicherten Daten erstellt werden kann. 
[0011J Weiterhin ist vorteilhaft, dass eine Priifung in der 
ersten Recheneinheit neu gestartet wird, wenn die Priifung 
nicht vollstandig durchlaufen wurde. Hierdurch wird ver- 
mieden, dass bei einem absichtlichen oder unabsichtlichcn 
Unterbrechen des PriifVorgangs, z. B. durch einen Strom- 
ausfall, einzelne Prufschritte ubergangen werden konnen. 
[0012] Weiterhin ist vorteilhaft, dass ein Programm zur 
Priifung und/oder ein Priifergebnis in der zweiten Rechen- 
einheit nicht fliichtig gespeichert wird. Einerscits wird hier- 
durch eine mogliche Falschung des Programms zur Priifung 
der ersten Daten bzw. eine Falschung eines Prufergebnisses 
vermieden. AuBerdem muss eine TJberprufung der ersten 
Daten bei einer nicht flUchtigcn Spcicherung des Prufergeb- 
nisses nicht bei jedem Neustart der ersten Recheneinheit er- 
neut durchgefuhrt werden. 

[0013] Weiterhin ist vorteilhaft, dass die ersten Daten in 
der ersten Recheneinheit geloscht werden, wenn von der 
zweiten Recheneinheit kcinc Bcnutzungserlaubnis der er- 
sten Daten ubermittelt wird. Eine unberechtigte Benutzung 
der ersten Daten in der ersten Recheneinheit wird hierdurch 
vermieden. Insbesondere ist dies vorteilhaft, wenn die Nut- 
zung der ersten Daten zeitlich beschrankt ist, so dass bei ei- 
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ner regelmaBigen Uberpriifiing einer Benutzungseriaubnis 
nach Ablauf einer vorgegebenen Zeilspanne ein Erloschen 
der Benutzungseriaubnis festgestellt wird und die ersten Da- 
ten automatisch von der ersten Recheneinheit geloscht wer- 
den. 5 
[0014] Weiterhin ist vorteilhaft, eine Wamung auszuge- 
ben, wenn die ersten Daten nicht freigegeben werden, so 
dass ein Benutzer dariiber informiert wird, dass er die ersten 
Daten nicht nutzen kann and er gegebenenfalls eine andere 
Bezugsquelle fiir die ersten Daten suchen muss. JO 
[0015] Weiterhin ist vorteilhaft, in die zweiten Daten ei- 
nen Priifcode bezuglich der ersten Daten beziehungsweise 
der Idcntitat der ersten Recheneinheit mit. einzubeziehen. 
[0016] Weiterhin ist vorteilhaft, insbesondere ein Steuer- 
gerat in einem Kraftfahrzeug als eine erste Recheneinheit 15 
auszufuhren, in das Daten von einer dritten Recheneinheit 
beziehungsweise von einem Datentrager ubermittelt wer- 
den. Insbesondere bei Systemen cines Kraftfahrzcugs, die 
fur die Fahrzeugsicherheit relevant sind, ist hierdurch eine 
Kontrolle der iibermittelten Daten moglich, so dass eine 20 
Funktion der sicherheitsrelevanten Systeme des Fahrzeugs 
nicht durch unberechtigt ubermittelte Daten oder fehlerhafte 
Daten gefahrdet werden kann. 

Zeichnung 25 

[0017] Ausfuhrungsbcispielc der Erfindung sind in der 
Zeichnung dargestellt und in der nachfolgenden Beschrei- 
bung naher erlautert. Es zeigen Fig. 1 ein erstes Ausfuh- 
rungsbeispiel fur eine Vorrichtung zur Durchfiihrung des er- 30 
findungsgemaBen Verfahrens, Fig. 2 ein zweites AusfUh- 
rungsbcispiel fur eine erfindungsgemaBe Vorrichtung zur 
Durchfiihrung des erfindungsgemaBen Verfahrens, Fig. 3 
ein drittes Ausfuhrungsbeispiel fur eine erfindungsgemaBe 
Vorrichtung zur Durchfiihrung des erfindungsgemaBen Ver- 35 
fahrens und Fig. 4 einen erfindungsgemaBen Verfahrensab- 
lauf. 

Beschreibung des Ausfuhrungsbeispiels 

40 

[0018] Das erfindungsgemaBe Verfahren zur Datenuber- 
tragung kann fur eine Vielzahl von Anwendungsfallen, ins- 
besondere fiir verschiedene zu ubertragende Daten verwen- 
det werden. Bei den Daten kann es sich z. B. urn Programm- 
daten, also um Daten zur Steucrung einer Recheneinheit 45 
oder eines Gerats handeln sowie um Daten, die Informatio- 
nen beinhalten, z. B. Daten von Telefonnummern, Adressen 
und Land- und StraBenkarten. Ferner konnen als erste Daten 
z. B. auch Daten fur einen Zahlungsvorgang, einen Kauf- 
vorgang oder einen Buchungsvorgang ubertragen werden. 50 
Entsprechend kann die erste Recheneinheit als eine Rechen- 
einheit ausgefiihrt sein, die einen Programmablauf anhand 
der ersten Daten steuert, so z. B. ein Steuergerat in einem 
Fahrzeug, oder ein eJektrisches Gerat im Haushalt bzw. in 
einem industricllen Einsatz. Die erste Recheneinheit kann 55 
ferner als Teil einer Vorrichtung zur vorzugsweise gezielten 
Wiedergabe der ubermittelten ersten Daten sein. Ferner 
kann die erste Recheneinheit in eine Vorrichtung zur Durch- 
fuhrung des Zahlungs-, Kauf oder Buchungsvorgangs inte- 
griert sein. 60 
[0019] Das erfindungsgemaBe Verfahren wird im Folgen- 
den anhand der Verwendung fur ein Steuergerat in einem 
Kraftfahrzeug erlautert, bei dem erste Daten in Form von 
Programmdaten und/oder In forma tionen an die erste Re- 
cheneinheit, also das Steuergerat, ubermittelt werden. Das 65 
Verfahren kann ohne Weiteres auch in anderen Fahrzeugen 
verwendet werden, so z. B. in Flugzeugen, in Schiffen oder 
in Schienenfahrzeugen. 
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[0020] In der Fig. 1 ist ein Steuergerat 1 in einem Kraft- 
fahrzeug 20 dargestellt, das mit einem Fahrzeugsystein 2 
verbunden ist. Das Fahrzeugsystem 2 ist z. B. eine Motor- 
steuerung, die einen Verbrennungsvorgang im Fahrzcugmo- 
tor oder eine Kraftumsetzung des Fahrzeugmotors steuert, 
eine Anzeigevorrichtung im Fahrzeug zur Darstellung von 
anzuzeigenden Informationen oder eine Navigationsvor- 
richtung, die Fahrhinweise an einen Benutzer des Fahrzeugs 
ausgibt. In dem Steuergerat 1 ist eine erste Recheneinheit 3 
angeordnet. Ferner verfugt das Steuergerat 1 iiber einen 
nicht fliichtigen Speicher 5, der zumindest in einen ersten 
Bereich 6. einen zweiten Bereich 7 und einen dritten Be- 
reich 17 aufgeteilt ist. Das Steuergerat 1 ist ferner mit. einem 
ersten Datentragerlaufwerk 4 fur einen Datentrager 8 ver- 
bunden, das ebenfalls in dem Fahrzeug 20 angeordnet ist. 
Der Datentrager 8 wird in einer Vorrichtung zur Datentra- 
gerverarbeitung 10 mit Daten von einer dritten Rechenein- 
heit It in einem zweiten Datentragerlaufwerk 9 beschrie- 
ben. Das Steuergerat 1 ist ferner uber eine erste Funkverbin- 
dung 12 mit einer Prufeinheit 14 verbunden. Die Prufeinheit 
14 verfugt uber eine zweite Recheneinheit 15 und eine Da- 
tenbank 16 und ist mit einer Verrechnungsstelle 13 verbun- 
den. 

[0021) Von der Vorrichtung zur Datentragerverarbeitung 
10 werden Daten der dritten Recheneinheit 11 mittels des 
zweiten Datentragerlaufwerks 9 auf den Datentrager 8 ge- 
schricben. Der Datentrager 8 ist vorzugsweise als ein opti- 
scher und/oder als ein magnetischer Datentrager ausgefiihrt. 
Bei Verwendung eines optischen Datentragers ist auch eine 
mechanische Herstellung des Datentragers in dem zweiten 
Datentragerlaufwerk 9 moglich. Die Vorrichtung zur Daten- 
tragerverarbeitung 10 ist auBcrhalb des Fahrzeugs 20 ange- 
ordnet. 

[0022] Der Datentrager 8 wird von einem Benutzer in das 
Fahrzeug 20 gebracht und in das erste Datentragerlaufwerk 
4 eingelegt. Die auf dem Datentrager 8 gespeicherten Daten 
werden von dem ersten Datentragerlaufwerk 4 gelesen und 
an die erste Recheneinheit 3 ubermittelt. Die erste Rechen- 
einheit 3 erkennt neu Ubermittelte, erste Daten und startet 
ein in dem ersten Bereich 6 des nicht fliichtigen Speichers 5 
gespeicherten Programm zur Prufung der ersten Daten, die 
ausgehend von der dritten Recheneinheit 11 mittels des Da- 
tentragers 8 in einen fliichtigen Speicher der ersten Rechen- 
einheit 3 ubermittelt wurden. Die erste Recheneinheit 3 baut 
eine erste Funkverbindung 12 zu der Prufeinheit 14 auf und 
stellt somit einen Kontakt zu der Prufeinheit 14 her. Femer 
bestimmt die erste Recheneinheit 3 gemaB dem Programm, 
das in dem ersten Bereich 6 abgelegt ist, zweite Daten, die 
sich auf die ubermittelten, ersten Daten beziehen. Die zwei- 
ten Daten konnen hierbci z. B. eine Identitatsnummcr des 
Datentragers 8 und/oder eine Priifsumme, z. B. die Summe 
oder die Quereumme einer vorgegebenen Folge von Bytes 
der ersten Daten, Ausschnitte oder eine sonstige Codierung 
der ersten Daten en thai ten. In einem weiteren Ausfuhrungs- 
beispiel ist auch eine zumindest partielle Ubertragung der 
ersten Daten als zweite Daten an die Prufeinheit 14 moglich. 
In der Prufeinheit 14 werden die von dem Steuergerat 1 mit- 
tels der ersten Funkverbindung 12 Ubermittelten zweiten 
Daten anhand eines Vcrglcichs mit in der Datcnbank 16 ge- 
speicherten Daten gepriift. Hierbei ist z. B. eine Prufung ei- 
ner Identitatsnummer des Datentragers 8 und/oder einer 
IdentitStsnununer der ersten Recheneinheit 3 moglich. Hier- 
mit kann z. B. tiberprtift werden, ob der Besitzer der ersten 
Recheneinheit 3 zur Benutzung des Datentragers 8 befugt 
ist. Ferner kann uberpruft werden, ob die auf dem Datentra- 
ger 8 gespeicherten ersten Daten durch die erste Rechenein- 
heit 3 verwendet werden konnen, insbesondere ob der Da- 
tentrager 8 eine befugte Kopie der ersten Daten beinhaltet 
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bzw. ob die ersten Daten iiberhaupt zu einer Verwendung in 
der zweiten Recheneinheil 15 bzw. 27 geeignel sind oder ob 
z. B. eine falsche oder veralteie Version der ersten Daten 
vorlicgt. 1st dies der Fall, so wird eine Benutzungserlaubnis 
iiber die erste Funkverbindung 12 an die erste Recheneinheit 5 
3 iibermittelt. Die erste Recheneinheit 3 speichert in dem 
zweiten Bereich 7 des nicht fliichtigen Speichers 5, dass die 
Benutzung der ersten Daten durch die erste Recheneinheit 3 
erlaubt ist. In einem bevorzugten Ausfuhrungsbeispiel wird 
in dem dritten Bereich 17 des nicht fliichtigen Speichers 5 10 
zumindest ein Teil der ersten Daten gespeichert. Die ersten 
Daten konnen auch in einem in der Figur nicht gezeigten, 
mil dem Steuergerat. 1 verbundenen Massenspcicher, so 
z. B. einer Festplatte, in dem Fahrzeug 20 gespeichert wer- 
den. Die ersten Daten konnen nun von der ersten Rechenein- 15 
heit 3 entweder unler ZugruT auf den Datentrager 8, den 
dritten Bereich 17 und/oder den Massenspeicher genutzt 
werden, urn das Fahrzcugsystcm 2 zu stcuem, also z. B. cine 
Benzineinspritzung, eine Motorsteuerung oder eine An- 
zeigeeinheit zu beeinflussen. In einem bevorzugten Ausfuh- 20 
rungsbeispiel wird das Erteilen der Benutzungserlaubnis an 
eine Verrechnungsstelle 13 weitergeleitet, von der der Be- 
nutzer des Fahrzeugs 20 mit den Kosten fur die Benutzung 
der ersten Daten belastet wird, indem z. B. ein Kreditkarten- 
konto des Benutzers belastet wird. In einem bevorzugten 25 
Ausfiihrungsbeispiel erfolgt die erste Funkverbindung 12 
iiber cine gesicherte Vcrbindung, indem von der ersten Re- 
cheneinheit 3 die zu ubermittelten zweiten Daten codiert 
und von der zweiten Recheneinheit 15 wieder decodiert 
werden. Ebenso gilt dies fiir die umgekehrte Ubertragung ei- 30 
ncr Benutzungserlaubnis von der zweiten Recheneinheit 15 
an die erste Recheneinheit 3. Fiir eine Codierung wird insbe- 
sondere ein privaterSchlussel jeweils der ersten Rechenein- 
heit 3 beziehungsweise der zweiten Recheneinheit 15 ver- 
wendet, so dass eine Identifizierung der ubertragenden Re- 35 
cheneinhcit moglich ist und eine Falschung einer Benut- 
zungserlaubnis unterbunden wird. 

[0023] In einem bevorzugten Ausfuhrungsbeispiel ist der 
nicht fluchtige Speicher 5 als ein Halbleiterbaustein ausge- 
fuhrt, der fest in das Steuergerat 1 eingebaut ist, so dass eine 40 
Umgehung der Prufung nur durch ein Ersetzen des nicht 
fliichtigen Speichers 5 moglich ist Die Vorrichtung zur Da- 
tentragerverarbeitung 10 kann sich im Besitz des Benutzers 
des Fahrzeugs befinden, der mittels eines Abrufs iiber ein 
Datennetz, z. B. dem Internet, Daten ladt und diese mittels 45 
der Vorrichtung zur Datentragerverarbeitung 10 auf den Da- 
tentrager 8 und mit diesem in das Fahrzeug 20 bringt. Femer 
kann die Vorrichtung zur Datentragerverarbeitung 10 auch 
von einem Hersteller des Steuergerats 1 oder eines anderen 
komrncrziellcn Anbieters von Daten fur das Fahrzeug 20 50 
bzw. fiir das Steuergerat 1 betrieben werden. Mit einer Uber- 
priifung iiber die Priifeinheit 14, die vorzugsweise ebenfalls 
von dem Herstellers des Fahrzeugs 20 oder des Steuergerats 
1 betrieben wird, kann eine unsachgemaBe oder verbotene 
Benutzung von Daten in dem Steuergerat 1 vermieden wer- 55 
den. Wird von der Priifeinheit 14 eine Benutzungserlaubnis 
versagt, oder trifft von der Priifeinheit 14 keine Antwort bei 
der ersten Recheneinheit 3 ein, so werden die in der ersten 
Recheneinheit 3 abgelegtcn ersten Daten in dem Fahrzeug 
20 geloscht. In einem bevorzugten Ausfuhrungsbeispiel 60 
wird eine Benutzungsanfrage bei der Priifeinheit 14 nach 
vorgebbaren Zeitabstanden wiederholt ausgefuhrt, so dass 
eine zeitliche Beschrankung der Nutzung der ersten Daten 
moglich und ubcrpriifbar ist. 

[0024] In der Fig. 2 ist ein zweites Ausfuhrungsbeispiel 65 
fiir eine Vorrichtung zur Durchluhrung des erfindungsgema- 
Ben Verfahrens dargestellt. Hier und im Folgenden bezeich- 
nen gleiche Bezugszeichen auch die gleichen Elemente. Das 



Steuergerat 1 ist iiber eine zweite Funkverbindung 24 mit ei- 
ner Dienstezentrale 21 verbindbar, die iiber eine dritte Re- 
cheneinheit 22 und uber einen Datenspeicher 23 verfugt 
Uber die zweite Funkverbindung 24 sind in dem Datenspei- 
cher 23 gespeicherte erste Daten von der ersten Rechenein- 
heit 3 von der Dienstzentrale abrufbar. Die dritte Rechenein- 
heit 22 iibermittelt so auf Anforderung durch die erste Re- 
cheneinheit 3 in dem Datenspeicher abgelegte erste Daten 
uber die zweite Funkverbindung 24 an die erste Rechenein- 
heit 3 des Steuergerats 1. Ein Datentragerlaufwerk in dem 
Fahrzeug 20 ist bei diesem Ausfuhrungsbeispiel nicht erfor- 
derlich, kann jedoch erganzend verwendet werden. 
[0025] Die erste Funkverbindung 12 und die zweite Funk- 
verbindung 24 sind vorzugsweise als Mobilfunkverbindung 
(z. B. GSM, UMTS) ausgefuhrt. Hierbei ist die zweite 
Funkverbindung 24 insbesondere als eine Funkverbindung 
ausgefuhrt, die einen hohen Datendurchsatz ermoglicht, urn 
auch groBe Datenmengcn z. B. fur Kartendatcn fur eine Na- 
vigationsvorrichtung oder fiir Programmdaten fur eine Mo- 
torsteuerung, in einer fur einen Benutzer akzeptablen Zeit 
ubertragen zu konnen. Ferner ist auch moglich, dass sowohl 
die Dienstezentrale 2.1, das Steuergerat 1 und die Priifeinheit 
14 jeweils mit einem Datennetz, so z. B. dem Internet, ver- 
bunden sind und eine Kommunikation zwischen den einzel- 
nen Einheiten jeweils Uber das Datennetz erfolgt. Eine 
Funkschnittstelle fur die erste Funkverbindung 12 kann 
auch fiir die zweite Funkverbindung verwendet werden. 
[0026] In der Fig. 3 ist ein weiteres Ausfuhrungsbeispiel 
dargestellt, bei dem die Priifeinheit 14 durch eine Diagnose- 
vorrichtung 26 ersetzt ist, die iiber eine Steckerverbindung 

25 mit dem Fahrzeug 20 beziehungsweise mit dem Steuer- 
gerat 1 vcrbunden wird. In der Diagnoscvorrichtung 26 ist 
eine zweite Recheneinheit 27 angeordnet, mit der die zwei- 
ten Dalen uberpruft werden, die von der ersten Rechenein- 
heit 3 iiber die Steckerverbindung 25 an die zweite Rechen- 
einheit 27 iibermittelt werden. Die ersten Daten sind der er- 
sten Recheneinheit 3, wie in der Fig. 3 dargestellt, iiber die 
zweite Funkverbindung 24 zufuhrbar. In einem in der Fig. 3 
nicht dargestellten Ausfuhrungsbeispiel ist auch eine Zufuh- 
rung der ersten Daten mittels eines Datentragers 8 gemaB 
dem Ausfuhrungsbeispiel der Fig. 1 an die dritte Rechenein- 
heit moglich. Durch die Verwendung der Diagnosevorrich- 
tung 26 ist eine Oberpriifung der Korreklheit der in dem 
Steuergerat 1 gespeicherten ersten Daten. z. B. in einer 
Werkstatt, auch moglich, ohne eine Funkverbindung aufzu- 
bauen. Eine Prufung kann dabei durch die Diagnosevorrich- 
tung 26 gestartet werden. Unzulassige erste Daten konnen 
dabei aus dem Steuergerat 1 geloscht werden. In einem be- 
vorzugten Ausfuhrungsbeispiel ist die Diagnosevorrichtung 

26 uber eine dritte Funkverbindung 28 mit einer Datcnbank 
30 in einer zweiten Dienstzentrale 29 verbindbar, durch die 
z. B. eine Identitat der ersten Recheneinheit beziehungs- 
weise eine Erlaubnis zur Benutzung von ersten Daten durch 
die erste Recheneinheit uherpruft werden kann. Die zweite 
Dienstzentrale 29 wird dabei vorzugsweise von dem Her- 
steller des Fahrzeugs 20 oder dem Hersteller des Steuerge- 
rats 1 betrieben. 

[0027] In der Fig. 4 ist ein erstes Ausfiihrungsbeispiel fiir 
den Ablauf des erfindungsgcmaBen Verfahrens dargestellt. 
Das Verfahren ist dabei fiir die Ubertragung von ersten Da- 
ten an die erste Recheneinheit sowohl mittels eines Daten- 
tragers 8 als auch mittels einer Ubertragung von ersten Da- 
ten von einer Dienstezentrale 21 anwendbar. In einem Initia- 
lisicrungsschritt 40 wird das crfindungsgcmaBc Verfahren 
durch das Einlegen des Datentragers 8 in das erste Daten- 
tragerlaufwerk 4 gestartet. In einem anschlieBenden Lade- 
schritt 41 werden die ersten Daten von dem Datentrager 8 an 
die erste Recheneinheit 3 ubertragen. Danach wird mit ei- 
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nem Ermittlungsschritt 42 der Priifvorgang eingeleitet 
[0028] Werden die Daten von einer Dienstezentrale 21 an 
die erste Recheneinheit 3 ubermittelt, so beginnt der Verfah- 
rensabtauf mit eincm Anfrageschritt 43, mit dera erste Daten 
von der Dienstezentrale 21 iiber die zweite Funkverbindung 5 
24 von der ersten Recheneinheit 3 abgerufen werden. In ei- 
nem Verschlusselungsschritt 44 werden die ersten Daten 
von der dritten Recheneinheit 22 verschliisselt und/oder 
elektronisch unterschrieben und in einem anschlieBenden 
Ubertragungsschritt 45 an die erste Recheneinheit 3 iiber- JO 
mittelt. In einein darauffolgenden Decodierschritt 46 wer- 
den die ubermittelten, verschlusselten und/oder elektronisch 
unterschrieben Daten von der ersten Recheneinheit 3 deco- 
diert. In einem bevorzugten Ausfuhrungsbeispiel wird dabei 
ein orTentlich zuganglicher Schliissel der ersten Rechenein- 15 
heit 3 zum VerschlQsseln und/oder elektronischen Unter- 
schreiben der Daten in der dritten Recheneinheit 22 verwen- 
det, so dass die Daten nur von der ersten Recheneinheit 3 
entschliisselt und/oder die elektronische Unterschrift ge- 
pruft werden konnen, wobei die erste Recheneinheit iiber 20 
den zugehorigen privaten Schliissel zur Entschliisselung 
verfugt. Ferner wird zur Verschlusselung ein privater 
Schliissel der dritten Recheneinheit 22 verwendet, so dass 
eine eindeutige Identifizierung der Datenquelle moglich ist 
MiL dem Enmtdungsschritt 42 wird das Prufverfahren ge- 25 
startet. vSollte das Prufverfahren vor seinem Ablauf unter- 
brochen werden, so z. B. durch einen Stromausfall, muss 
das Prufverfahren zumindest wieder ausgehend von dem Er- 
mittlungsschritt 42 begonnen werden, in dem festgestellt 
wird, dass eine tTbertragung von ersten Daten an die erste 30 
Recheneinheit 3 beendet. wurde, bzw. in dem festgestellt 
wird, dass die ersten Daten auf eincm Datentrager zur Verfii- 
gung stehen. Mit Beginn des anschlieBenden Priifablaufs 
wird vorzugsweise in dem nicht fluchtigen Speicher 5, vor- 
zugsweise in dem zweiten Bereich 7, in dem das Prufergeb- 35 
nis gespcichert wird, ein Code dafur gespcichert, dass ein 
Prufverfahren lauft. Wird nun die Stromzufuhr zu dem Steu- 
ergerat unterbrochen, so wird bei einem erneuten Start des 
Steuergerates 1 festgestellt, dass ein Prufverfahren nicht be- 
endet wurde und das Prufverfahren wird ausgehend von 40 
dem Ermittlungsschritt 42 neu gestartet. 
[0029] An den Ermittlungsschritt 42 schlieBt sich ein er- 
ster Prufschritt 47 an, in dem uberpruft wird, ob die an die 
erste Recheneinheit 3 ubermittelten Daten korrekt ubertra- 
gen wurden. Eine korrekte Ubertragung liegt z. B. bei einer 45 
fehlerfreien Entschliisselung vor, sofern die Daten ver- 
schliisselt ubertragen wurden. Ferner konnen den ersten Da- 
ten auch Paritatsdaten zugefugt sein, aus denen Obertra- 
gungsfehler ennittelbar sind. Wird festgestellt, dass die Da- 
ten nicht korrekt ubertragen wurden, so wird zu eincm zwei- 50 
ten Prufschritt 48 verzweigt, in dem uberpruft wird, ob das 
tJbertragen von Daten an die erste Recheneinheit 3 bereits 
mehrmals erfolglos war. Eine Toleranzschwelle ist hierbei 
vorgebbar. Werden z. B. Daten von einem Datentrager 8 ge- 
lescn, so ist problcmlos ein mehrfachcr Vcrsuch moglich, 55 
die Daten von dem moglicherweise leicht verschmutzten 
oder beschadigten Datentrager zu lesen. Werden Daten iiber 
eine Funkverbindung ubertragen, so konnen bei einer mehr- 
fachen Wiedcrholung hohe IJbertragungskosten verursacht 
werden. Daher ist hier die Anzahl der Versuche zu beschran- 60 
ken, z. B. auf drei Ubertragungsversuche. Wird in dem 
zweiten Prufschritt festgestellt, dass eine fehlerfreie Uber- 
tragung mehrfach nicht moglich war, so wird zu einem End- 
schritt 49 verzweigt, in dem eine Warming an einen Benut- 
zer ausgegeben wird, dass eine Ubertragung beziehungs- 65 
weise eine Verwendung der ersten Daten in dem Steuergerat 
1 nicht moglich ist Wird dagegen in dem zweiten Priif- 
schritt 48 festgestellt, dass noch mindestens ein Versuch zur 
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Ubertragung durchgefuhrt werden soil, so wird zu dem La- 
deschritt 41 beziehungsweise zu dem ttbertragungsschriu 
45 zuriick verzweigt. 

[0030] Wird in dem ersten Prufschritt 47 festgestellt, dass 
die ersten Daten fehlerfrei an die erste Recheneinheit uber- 
tragen wurden, so wird zu einem Ubermittlungs- und Uber- 
tragungsschritt 50 verzweigt, in dem aus den ersten Daten 
ein Priifcode ermittelt wird, so z. B. eine Pnifsumme, eine 
Abfolge bestimmter Zeichen der ersten Daten oder andere, 
vorgebbare Teile der ersten Daten. Vorzugsweise wird den 
zweiten Daten eine IdenlitaL, vorzugsweise eine Idenlitats- 
nummer der ersten Recheneinheit 3, des Datentragers 8 und/ 
oder der dritten Recheneinheit 22 zugefugt. In dem Ermitt- 
lungs- und Ubertragungsschritt 50 werden diese Daten vor- 
zugsweise verschliisselt und/oder elektronisch unterschrie- 
ben an die Priifeinheit 14 beziehungsweise die Diagnosevor- 
richtung 26 ubertragen. Eine Verschlusselung der zweiten 
Daten erschwert. es, eine Priifeinheit 14 beziehungsweise 
eine Diagnosevonichtung 26 zu simulieren und damit einen 
Priifvorgang der ersten Daten durch eine unerlaubte Fal- 
schung einer Priifeinheit 14 bzw. einer Diagnosevorrichtung 

26 zu umgehen. In einem anschlieBenden dritten Prufschritt 
51 wird eine fehlerfreie Ubertragung der zweiten Daten von 
der ersten Recheneinheit 3 an die zweite Recheneinheit 15 
gemaB dem Ausfuhrungsbeispiel der Fig. 1 und 2 bzw. an 
die zweite Recheneinheit 27 gemaB dem Ausfuhrungsbei- 
spiel der Fig. 3 uberpruft. Wird keine fehlerfreie Ubertra- 
gung festgestellt, so wird zu einem vierten Prufschritt 52 
verzweigt, in dem uberpruft wird, ob mehrmals eine fehler- 
freie "Oberlragung der zweiten Daten nicht moglich war. 
Wird festgestellt, dass mehrfach die zweiten Daten nicht 
korrekt ubertragen werden konnten, wobei hier cbenfalls die 
Anzahl fur ein maximales, fehlerhaftes Ubertragen vorgeb- 
bar ist, so wird zu einem Endschritt 53 verzweigt. In dem 
Endschritt 53 wird von der zweiten Recheneinheit 15 bzw. 

27 an die erste Recheneinheit 3 als ein Ergcbnis ubermittelt, 
dass die zweiten Daten nicht fehlerfrei ubertragen werden 
konnten. Dies wird von der ersten Recheneinheit ausgege- 
ben, z. B. iiber eine Anzeige oder einen Lautsprecher, die in 
der Zeichnung nicht dargesteilt sind. Sollte ein Kontakt zur 
zweiten Recheneinheit nicht moglich sein, so wird dies von 
der ersten Recheneinheit 3 ebenfalls festgestellt und ausge- 
geben. Das Prufverfahren wird danut unterbrochen und ge- 
gebenenfalls zu einem spateren Zeitpunkt wieder neu ausge- 
hend von dem Ermittlungsschritt 42 aufgenommen. Wird in 
dem vierten Prufschritt 52 festgestellt, dass ein erneuter Ver- 
such zur Ubertragung der zweiten Daten moglich ist, so 
wird zu dem Ermittlungs- und Obertragungsschritt 50 zu- 
riick verzweigt und von der ersten Recheneinheit 3 werden 
die zweiten Daten erneut an die zweiten Recheneinheit 15 
bzw. 27 ubertragen. 

f 0031] Wird in dem dritten Prufschritt 51 festgestellt, dass 
die zweiten Daten korrekt ubertragen wurden, so wird zu 
dem fiinften Prufschritt 54 weiterverzweigt, in dem von der 
zweiten Recheneinheit 15 bzw. 27 die zweiten Daten dahin- 
gehend uberpruft werden, ob die ersten Daten, auf die die 
zweiten Daten bezogen sind, in der ersten Recheneinheit 3 
verwendet werden diirfen. Hierbei wird z. B. uberpruft, ob 
die ersten Daten zulassige Daten zur Verwendung in der er- 
sten Recheneinheit 3 sind. Ferner kann uberpruft werden, ob 
die auf dem Datentrager 8 gespeicherten ersten Daten eine 
erlaubte Kopie der ersten Daten sind, oder ob z. B. eine 
Identitatsnummer des Datentragers 8 bereits fur eine Benut- 
zung fur eine anderc erste Recheneinheit 3 regis tricrt ist und 
damit ein Datentrager 8 als Original oder als Kopie unbe- 
rechtigt verwendet wird. Hierzu wird in dem fiinften Pruf- 
schritt 54 die Datenbank 16 bzw. die Datenbank 30 abge- 
fragt. Zusatzlich kann hierbei eine von einem Benutzer er- 
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ganzend anzugebende Persanliche Identifikationsnummer 
(PIN) oder eine Transaktionsnummer (TAN) iiberpriift wer- 
den, die von einem Benuizer in die ersie Recheneinheit ein- 
gegcben werdcn. 

[0032] Wind in dem fiinflen Priifschritt 54 festgesteUt, 5 
dass die ersten Daten in der ersten Recheneinheit 3 nicht be- 
nutzt werden diirfen, so wird zu einem Verbietungsschritt 55 
verzweigt, in dem von der zweiten Recheneinheit 15 bzw. 
27 ein Verbot der Benutzung der ersten Daten an die erste 
Recheneinheit ubermittelt wird. Danach wird zu einem End- l 0 
schritt 56 verzweigt, in dem die ersten Daten in der ersten 
Recheneinheit 3 und damit in dem ersten Steuergerat 1 und 
dem Fahrzeug 20 geloscht werden. Wird in dem funftcn 
Priifschritt 54 festgesteUt, dass eine Benutzung der ersten 
Daten durch die erste Recheneinheit 3 zulassig ist, so wird 15 
zu einem sechsten Priifschritt 57 weiterverzweigt, in dem 
iiberpriift wird, ob fur die Verwendung der ersten Daten 
durch die erste Recheneinheit 3 eine Bezahlung erforderlich 
ist Ist eine Bezahlung erforderlich, so wird zu einem Ver- 
rechnungsschritt 58 weiterverzweigt, in dem dem Benutzer 20 
des Fahrzeugs 20 ein vorgegebener Betrag uber die Verrech- 
nungsstelle 13 berechnet wird, z. B. durch eine Kreditkar- 
tenbelastung. Wird in dem sechsten Priifschritt 57 festge- 
steUt, dass eine Berechnung nicht erforderlich ist, so wird zu 
einem Erlaubnisschritt 59 weiterverzweigt. Der Erlaubnis- 25 
schritt 59 wird auch von dem Verrechnungsschritt 58 aus er- 
rcicht. In dem Erlaubnisschritt 59 wird cine Erlaubnis zur 
Verwendung der ersten Daten durch die erste Recheneinheit 
3 an die erste Recheneinheit 3 ubermittelt. In einem an- 
schlieBenden Verwendungsschritt 60 wird das Priif verfahren 30 
bcendet und ein positives Priif crgebnis fur eine Erlaubnis 
zur Verwendung der ersten Daten in der ersten Rechenein- 
heit 3 sowie ein Abschluss des Priifverfahrens wird in dem 
nicht fliichtigen Speicher 5 gespeichert Die an die erste Re- 
cheneinheit 3 Ubermittelten ersten Daten, so z. B. Pro- 35 
gramm- oder Tn formation sdatcn, konnen nun durch die erste 
Recheneinheit 3 verwendet werden, indem das durch die er- 
sten Daten beschriebene Programm ausgefuhrt oder die In- 
formationen, die in den ersten Daten enthalten sind, von der 
ersten Recheneinheit 3 ausgewertet und/oder ausgegeben 40 
werden. Diese Verwendung ist entweder zeitlich unbegrenzt 
oder fiir einen vorgegebenen Zeitraum moglich, der dann 
vorzugsweise in dem nicht fliichtigen Speicher 5 nut abge- 
legt wird. Nach Ende dieses vorgegebenen Zeitraums wird 
cine erfindungsgemaBe Prufung erneut ausgehend von dem 45 
Ermittlungsschritt 42 durchgefuhrt, so dass entweder die er- 
sten Daten von der ersten Recheneinheit 3 und damit auch 
aus dem Steuergerat 1 geloscht werden oder dass eine neue 
Berechnung mit dem Verrechnungsschritt 58 des Prufver- 
fahrens erfolgt und hierdurch eine weitcre Frcigabe erreicht 50 
wird. 

Patentanspriiche 

1 . Verfahren zur Datenubcrtragung, wobei erste Daten 55 
an eine erste Recheneinheit ubermittelt werden, da- 
durch gekennzeichnet, dass auf die ersten Daten be- 
zogene zweite Daten an eine zweite Recheneinheit 
ubermittelt werden, dass die zweiten Daten in der zwei- 
ten Recheneinheit gepriift werden und dass ein Priifer- 60 
gebnis an die erste Recheneinheit ubermittelt wird. 

2. Verfahren nach Anspruch 1, dadurch gekennzeich- 
net, dass die ersten Daten von einem Datentragerlauf- 
wcrk oder von eincr dritten Recheneinheit an die erste 
Recheneinheit ubermittelt werden. 65 

3. Verfahren nach Anspruch 2, dadurch gekennzeich- 
net, dass in der zweiten Recheneinheit eine Identitat 
der dritten Recheneinheit und/oder des Datentragers 
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gepriift wird. 

4. Verfahren nach einem der vorhergehenden Ansprii- 
che, dadurch gekennzeichnet, dass in der ersten Re- 
cheneinheit und/oder in der zweiten Recheneinheit je- 
weils eine fehlerfreie Uberrrrittlung der Daten gepriift 
wird. 

5. Verfahren nach einem der vorhergehenden Ansprii- 
che, dadurch gekennzeichnet, dass die ersten und/oder 
die zweiten Daten verschliisselt und/oder elektronisch 
unterschrieben iibertragen werden. 

6. Verfahren nach Anspruch 5, dadurch gekennzeich- 
net, dass die Daten mit einem privaten Schliissel der je- 
weiligen Recheneinheit verschliisselt und/oder elektro- 
nisch unterschrieben werden. 

7. Verfahren nach einem der vorhergehenden Ansprii- 
che, dadurch gekennzeichnet, dass die erste mit der 
zweiten Recheneinheit und/oder die zweite mit der 
dritten Recheneinheit uber Funk vcrbunden werden. 

8. Verfahren nach einem der vorhergehenden Ansprii- 
che, dadurch gekennzeichnet, dass in der zweiten Re- 
cheneinheit fur die Priifung der zweiten Daten auf eine 
Datenbank zuruckgegriffen wird. 

9. Verfahren nach einem der vorhergehenden Ansprii- 
che, dadurch gekennzeichnet, dass von der zweiten Re- 
cheneinheit in Abhangigkeit von den zweiten Daten ein 
Zahlungsvorgang veranlasst wird. 

10. Verfahren nach einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass eine Benutzung 
der ersten Daten in der ersten Recheneinheit von der 
zweiten Recheneinheit erlaubt wird. 

11. Verfahren nach einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass von der zweiten 
Recheneinheit eine Nutzung der ersten Daten durch die 
erste Recheneinheit gespeichert wird. 

12. Verfahren nach einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass cine Priifung in 
der ersten Recheneinheit neu gestartet wird, wenn die 
Priifung nicht voilstandig durchlaufen wurde. 

13. Verfahren nach einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass ein Programm 
zur Priifung der ersten Daten und/oder ein Priifergebnis 
in der zweiten Recheneinheit nichtfliichtig gespeichert 
wird. 

14. Verfahren nach einem der vorhergehenden An- 
spriichc, dadurch gekennzeichnet, dass die ersten Da- 
ten in der ersten Recheneinheit geloscht werden, wenn 
von der dritten Recheneinheit keine Benutzungserlaub- 
nis der ersten Daten Ubennittelt wird. 

15. Verfahren nach einem der vorhergehenden An- 
spriichc, dadurch gekennzeichnet, dass eine Warnung 
ausgegeben wird, wenn die ersten Daten nicht freige- 
geben werden. 

16. Verfahren nach einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass aus den ersten 
Daten ein crster Priifcodc bestimmt wird und dass die 
zweiten Daten zurnindest teilweise aus dem ersten 
Priif code gebildet werden. 

17. Verfahren nach einem der vorhergehenden An- 
spriiche, dadurch gekennzeichnet, dass aus Daten der 
ersten Recheneinheit ein zweiter Priifcode bestimmt 
wird und dass die zweiten Daten zurnindest teilweise 
aus dem zweiten Priifcode gebildet werden. 

18. Vorrichtung zur Durchftihrung des Verfahrens 
nach einem der vorhergehenden Anspriichc. 

19. Steuergerat in einem Kraftfahrzeug zur DurchfUh- 
rung des Verfahrens nach einem der Anspriiche 1-17, 
dadurch gekennzeichnet, dass die erste Recheneinheit 
(3) in dem Steuergerat (1) angeordnet ist. 
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20. Prufrecheneinheit zur Durchfuhrung des Verfah- 
rens nach einem der Anspriiche 1-17, dadurch gekenn- 
zeichnet dass die zweite Recheneinheit (15, 27) in der 
Prufrecheneinheit (14, 26) angcordnet isr. 

21. Dienstezentrale zur Durchfuhrung des Verfahrens 
uach einem der Anspriiche 1-17, dadurch gekenn- 
zeichnet, dass die dritte Recheneinheit (22) in der 
Dienstezentrale (21) angeordnet isL 
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